azure-log-analytics - 访问没有租户角色的工作簿？

Question

我们有一组日志分析工作区，每个工作区都有一些工作簿。每个项目一个工作区。我们需要授予管理员对工作簿的访问权限以进行一般监控。我已在日志分析中指定为所有者，但他们只看到他们自己的工作簿。他们看不到我创建的那个。当我阅读这篇文章时，它指出您需要：

全局管理员 安全管理员 安全阅读器 报告阅读器 应用程序管理员

但我确定我误解了您需要这些权限才能向系统管理员显示工作区。任何人都知道如何管理单个工作区和相关工作簿的访问权限？

https://docs.microsoft.com/en-us/azure/active-directory/reports-monitoring/howto-use-azure-monitor-workbooks#prerequisites

Answer 1

你在哪里保存你的工作簿？保存时，您将选择子+资源组。这些用户是否有权访问您保存的子资源组中的查询资源？

工作区 RBAC 控制对数据库本身的访问，但您保存资源（工作簿）的位置决定了其他用户是否可以看到它们。

如果您将所有这些视为文件系统，

1. 将工作区视为特定的数据库文件，“C:\rg1\workspace A\database.db”
2. 订阅 sub 作为驱动器号，“sub a”=“C:”，“sub b”作为“D:”等
3. 资源组作为 sub 内的文件夹 ("D:\rg2")

仅仅因为您授予用户 RBAC 访问 #1 的权限，并不意味着他们可以看到您保存到 #3 中的内容。

默认情况下，当您保存工作簿时，它会尝试将其保存到与工作区本身相同的 sub+rg 中，但根据 RBAC 用户可能无法在那里创建资源。（与上面的类比，默认设置是尝试将新工作簿保存到工作区所在的“C:\rg1”中，如果您对该 RG 具有写入权限）

此外，如果您在过去的某个时间创建了工作簿，您可以选择将它们保存为“共享”或“私人”（又名“我的工作簿”，我们正在努力弃用它，因为这会让所有人感到困惑） . 确保您没有将您的工作簿保存到“我的工作簿”中，因为只有作者才能看到这些内容。您必须使用编辑工具栏中的“移动到共享”命令来确保您的工作簿是共享的，以便其他人可以看到它们。